## 1. 案例背景
– 集群：TiDB 7.5.0
– 业务：金融交易系统
– 要求：满足PCI DSS合规要求

## 2. 实施步骤

### 步骤1：用户管理
– 创建用户：
CREATE USER ‘fgedu_admin’@’%’ IDENTIFIED BY ‘StrongPassword123!’;
CREATE USER ‘fgedu_app’@’%’ IDENTIFIED BY ‘AppPassword123!’;
CREATE USER ‘fgedu_read’@’%’ IDENTIFIED BY ‘ReadPassword123!’;

– 设置密码策略：
SET GLOBAL validate_password_policy = ‘STRONG’;
SET GLOBAL validate_password_length = 8;

### 步骤2：权限管理
– 授予权限：
GRANT ALL PRIVILEGES ON fgedudb.* TO ‘fgedu_admin’@’%’;
GRANT SELECT, INSERT, UPDATE, DELETE ON fgedudb.* TO ‘fgedu_app’@’%’;
GRANT SELECT ON fgedudb.* TO ‘fgedu_read’@’%’;

### 步骤3：加密配置
– 配置传输加密：
[security]
ssl-cert = “/tidb/app/cert/tidb-server-cert.pem”
ssl-key = “/tidb/app/cert/tidb-server-key.pem”
ssl-ca = “/tidb/app/cert/ca.pem”

– 配置存储加密：
[security]
data-encryption-method = “aes-256-ctr”
data-encryption-key-file = “/tidb/app/key/encryption-key”

### 步骤4：审计配置
– 启用审计：
[security]
audit-log = true
audit-log-file = “/tidb/app/log/tidb-audit.log”
audit-log-format = “json”
audit-log-level = “info”

## 3. 安全验证
– 测试用户登录：
mysql -h 192.168.1.1 -P 4000 -u fgedu_app -p –ssl-mode=REQUIRED

– 测试权限：
mysql> CREATE TABLE test (id INT); — 应该失败
mysql> SELECT * FROM fgedu_users; — 应该成功

– 检查审计日志：
grep “LOGIN” /tidb/app/log/tidb-audit.log

## 4. 合规验证
– 执行PCI DSS合规扫描
– 验证所有安全控制措施
– 生成合规报告

## 1. 案例背景
– 集群：TiDB 7.5.0
– 业务：电商平台
– 角色：管理员、运营、客服、报表

## 2. 实施步骤

### 步骤1：创建角色
– 创建角色：
CREATE ROLE ‘role_admin’, ‘role_operation’, ‘role_customer_service’, ‘role_report’;

### 步骤2：授予角色权限
– 授予管理员权限：
GRANT ALL PRIVILEGES ON fgedudb.* TO ‘role_admin’;

– 授予运营权限：
GRANT SELECT, INSERT, UPDATE, DELETE ON fgedudb.fgedu_products, fgedudb.fgedu_orders TO ‘role_operation’;

– 授予客服权限：
GRANT SELECT, UPDATE ON fgedudb.fgedu_orders, fgedudb.fgedu_users TO ‘role_customer_service’;

– 授予报表权限：
GRANT SELECT ON fgedudb.* TO ‘role_report’;

### 步骤3：创建用户并分配角色
– 创建用户：
CREATE USER ‘admin’@’%’ IDENTIFIED BY ‘AdminPassword123!’;
CREATE USER ‘operation’@’%’ IDENTIFIED BY ‘OperationPassword123!’;
CREATE USER ‘cs’@’%’ IDENTIFIED BY ‘CSPassword123!’;
CREATE USER ‘report’@’%’ IDENTIFIED BY ‘ReportPassword123!’;

– 分配角色：
GRANT ‘role_admin’ TO ‘admin’@’%’;
GRANT ‘role_operation’ TO ‘operation’@’%’;
GRANT ‘role_customer_service’ TO ‘cs’@’%’;
GRANT ‘role_report’ TO ‘report’@’%’;

– 设置默认角色：
SET DEFAULT ROLE ‘role_admin’ TO ‘admin’@’%’;
SET DEFAULT ROLE ‘role_operation’ TO ‘operation’@’%’;
SET DEFAULT ROLE ‘role_customer_service’ TO ‘cs’@’%’;
SET DEFAULT ROLE ‘role_report’ TO ‘report’@’%’;

### 步骤4：验证权限
– 测试管理员权限：
mysql -h 192.168.1.1 -P 4000 -u admin -p
mysql> CREATE TABLE test (id INT); — 应该成功

– 测试运营权限：
mysql -h 192.168.1.1 -P 4000 -u operation -p
mysql> INSERT INTO fgedu_products (name, price) VALUES (‘测试商品’, 99.99); — 应该成功
mysql> CREATE TABLE test (id INT); — 应该失败

– 测试客服权限：
mysql -h 192.168.1.1 -P 4000 -u cs -p
mysql> UPDATE fgedu_orders SET status = ‘processed’ WHERE id = 1; — 应该成功
mysql> INSERT INTO fgedu_products (name, price) VALUES (‘测试商品’, 99.99); — 应该失败

– 测试报表权限：
mysql -h 192.168.1.1 -P 4000 -u report -p
mysql> SELECT * FROM fgedu_users; — 应该成功
mysql> UPDATE fgedu_users SET name = ‘测试’ WHERE id = 1; — 应该失败

## 3. 权限管理效果
– 权限分离：不同角色拥有不同的权限
– 最小权限：用户只获得必要的权限
– 管理简便：通过角色管理权限
– 安全可靠：防止权限滥用

## 1. 案例背景
– 集群：TiDB 7.5.0
– 业务：医疗数据管理系统
– 要求：满足HIPAA合规要求

## 2. 实施步骤

### 步骤1：配置审计
– 启用审计：
[security]
audit-log = true
audit-log-file = “/tidb/app/log/tidb-audit.log”
audit-log-format = “json”
audit-log-level = “info”
audit-log-rotate = true
audit-log-rotate-size = “100MB”
audit-log-rotate-days = 30

### 步骤2：配置敏感数据保护
– 创建加密函数：
DELIMITER //
CREATE FUNCTION encrypt_data(data VARCHAR(255), key VARCHAR(255)) RETURNS VARCHAR(255)
BEGIN
RETURN AES_ENCRYPT(data, key);
END //
DELIMITER ;

– 创建解密函数：
DELIMITER //
CREATE FUNCTION decrypt_data(ciphertext VARCHAR(255), key VARCHAR(255)) RETURNS VARCHAR(255)
BEGIN
RETURN AES_DECRYPT(ciphertext, key);
END //
DELIMITER ;

– 加密敏感数据：
UPDATE fgedu_patients SET ssn = encrypt_data(ssn, ‘encryption_key’);

### 步骤3：配置访问控制
– 创建角色：
CREATE ROLE ‘role_medical_staff’, ‘role_admin’, ‘role_audit’;

– 授予权限：
GRANT SELECT, INSERT, UPDATE, DELETE ON fgedudb.fgedu_patients TO ‘role_medical_staff’;
GRANT ALL PRIVILEGES ON fgedudb.* TO ‘role_admin’;
GRANT SELECT ON fgedudb.*, SELECT ON mysql.audit_log TO ‘role_audit’;

– 创建用户并分配角色：
CREATE USER ‘doctor’@’%’ IDENTIFIED BY ‘DoctorPassword123!’;
CREATE USER ‘nurse’@’%’ IDENTIFIED BY ‘NursePassword123!’;
CREATE USER ‘admin’@’%’ IDENTIFIED BY ‘AdminPassword123!’;
CREATE USER ‘auditor’@’%’ IDENTIFIED BY ‘AuditorPassword123!’;

GRANT ‘role_medical_staff’ TO ‘doctor’@’%’, ‘nurse’@’%’;
GRANT ‘role_admin’ TO ‘admin’@’%’;
GRANT ‘role_audit’ TO ‘auditor’@’%’;

### 步骤4：审计日志分析
– 分析登录事件：
grep “LOGIN” /tidb/app/log/tidb-audit.log | jq ‘.event_type, .user, .ip, .result’

– 分析数据访问：
grep “QUERY” /tidb/app/log/tidb-audit.log | grep “fgedu_patients” | jq ‘.event_type, .user, .ip, .sql’

– 分析权限变更：
grep “GRANT” /tidb/app/log/tidb-audit.log | jq ‘.event_type, .user, .ip, .sql’

### 步骤5：合规验证
– 执行HIPAA合规扫描
– 验证审计日志完整性
– 验证敏感数据保护
– 生成合规报告

## 3. 合规效果
– 满足HIPAA合规要求
– 保护敏感医疗数据
– 提供完整的审计记录
– 确保数据访问安全